シャドーIT、撲滅やめました。"見ないもの"を決めて、審査はAIに任せた話

登壇概要

気づいたら、現場が作ったGASツールが業務の本番で動いていた。生成AIで誰でもコードが書ける今、内製アプリは情シスの知らないところで増え続けます。全部レビューするのは無理、でも放置もできない。 そこで2つ割り切りました。ひとつは「見ないものを決める」。個人利用で、個人情報も顧客機密も扱わないものはレビューしない、と明文化しました。判定は3つの質問だけです。もうひとつは「審査をAIに任せる」。判定基準を社内Wikiに置き、AIがそれを毎回読み直して審査します。 情シスは取り締まる人から、線を引く人になりました。2026年8月に始めた運用なので、崩れたところも含めて話します。